O que uma ação por grampo via session replay precisa provar no tribunal

O que é uma ação por grampo via session replay?

Nos EUA, autores de processos coletivos movem uma ação por grampo via session replay quando alegam que um site gravou seus movimentos de mouse, cliques e teclas digitadas e encaminhou essa gravação a um fornecedor terceiro sem pedir antes, o que, segundo eles, é a interceptação ilegal de uma comunicação eletrônica. Session replay é justamente essa gravação da sessão de um visitante para reprodução posterior. O mecanismo que eles apontam é o script: ele roda no navegador do visitante e copia os eventos de interação para um servidor que o visitante nunca escolheu contatar. Leia a petição inicial antes dos comentários, porque a acusação trata de interceptação e encaminhamento, não de o session replay funcionar ou não. Nada aqui é aconselhamento jurídico.

Quais leis esses processos usam de fato?

Três leis sustentam quase todo esse litígio: a seção 631(a) do California Penal Code, o Pennsylvania Wiretapping and Electronic Surveillance Control Act em 18 Pa. Cons. Stat. seção 5701 e seguintes, e o Wiretap Act federal em 18 U.S.C. seção 2510 e seguintes. Elas divergem na questão que decide a maioria dos casos: quantas partes precisam consentir. Verifique primeiro qual lei a petição invoca, porque uma defesa construída sobre a lei federal não se transfere para a Califórnia nem para a Pensilvânia.

Lei	Consentimento exigido	Dispositivo	Quem pode processar
California Invasion of Privacy Act	O de todas as partes da comunicação	Cal. Penal Code 631(a)	Qualquer pessoa lesada, Cal. Penal Code 637.2
WESCA da Pensilvânia	O de todas as partes, dado com antecedência	18 Pa. Cons. Stat. 5704(4)	Qualquer pessoa interceptada, 18 Pa. Cons. Stat. 5725(a)
Wiretap Act federal	O de uma parte, salvo se a finalidade for criminosa ou ilícita	18 U.S.C. 2511(2)(d)	Qualquer pessoa interceptada, 18 U.S.C. 2520
Cláusula de pen register da CIPA	Ordem judicial ou consentimento do usuário	Cal. Penal Code 638.51	Em mudança, veja a seção sobre o SB 690 abaixo

Por que tantos desses casos terminam na legitimidade e não na privacidade?

Juízes federais extinguem muitos desses processos antes de chegar à questão do grampo, porque o Article III da Constituição dos EUA exige um dano concreto e uma simples violação legal não o fornece. Em Cook v. GameStop, Inc. (3d Cir. 2025), o Terceiro Circuito decidiu que Amber Cook não tinha legitimidade depois que o Microsoft Clarity gravou seus movimentos de mouse, cliques e termos de busca no site da GameStop, já que ela não digitou nada sensível, nunca se identificou e os dados chegaram a um fornecedor e não ao público. Nove meses depois, o mesmo tribunal chegou a outro resultado em In re BPS Direct, LLC (3d Cir. 2026): seis de oito autores perderam pelo mesmo motivo de Cook, e dois obtiveram a reforma porque tinham digitado dados de pagamento e cobrança, incluindo um número de cartão de crédito, nas páginas de checkout da Bass Pro Shops e da Cabela's enquanto o script rodava. Leia primeiro a exposição dos fatos, porque o que o visitante digitou decidiu mais desses casos do que qualquer argumento sobre o texto da lei.

O que separa a rejeição da legitimidade

Sem legitimidade: Cook v. GameStop (2025)

• Amber Cook não digitou nada sensível
• Nunca se identificou
• Os dados chegaram a um fornecedor, não ao público
• Seis dos oito autores da BPS perderam pelo mesmo motivo

Com legitimidade: In re BPS Direct (2026)

• Dois autores digitaram dados de pagamento e cobrança
• Incluindo um número de cartão de crédito
• Digitados nas páginas de checkout da Bass Pro Shops e da Cabela's enquanto o script rodava
• Decisão revertida a favor deles nessas duas ações

O fornecedor de analytics é parte da comunicação ou terceiro?

Os réus argumentam que o fornecedor é parte direta e, portanto, consente com o próprio recebimento, e o Terceiro Circuito rejeitou essa leitura da lei da Pensilvânia em Popa v. Harriet Carter Gifts, Inc., 52 F.4th 121 (3d Cir. 2022). O tribunal decidiu que a NaviStone não era parte direta das comunicações de Ashley Popa com o site do varejista e que houve interceptação quando o JavaScript encaminhou esses sinais aos servidores da NaviStone. Essa decisão anulou uma sentença de um tribunal distrital que afirmava o contrário nos dois pontos, o exemplo mais claro da divergência que atravessa essa área. O lugar de um fornecedor nesse argumento acompanha a linha que o GDPR traça entre controlador e operador de dados, então tanto o contrato quanto o fluxo real de dados entram na análise.

Quando o consentimento precisa ser coletado?

O Nono Circuito previu em Javier v. Assurance IQ, LLC, No. 21-16351 (9th Cir. 31 de maio de 2022), um memorando não publicado, que a Suprema Corte da Califórnia interpretaria a seção 631(a) como exigindo o consentimento prévio de todas as partes, e reformou a decisão de um tribunal distrital que havia aceitado um consentimento dado depois da gravação. Florentino Javier respondeu a perguntas demográficas e médicas em um formulário de cotação de seguro enquanto o TrustedForm da ActiveProspect o gravava, e só depois clicou para aceitar a política de privacidade. A decisão não é publicada e não vincula ninguém como precedente, e ainda assim explica por que as petições agora alegam o momento exato em que o aviso apareceu em relação à primeira tecla digitada. O momento do consentimento para rastreamento é o fato que uma petição vai mirar.

O que é a teoria do pen register e o que a Califórnia está fazendo com ela?

Os autores acrescentaram uma segunda teoria baseada na CIPA: que um script de rastreamento é um pen register ou um trap and trace device, ou seja, um dispositivo que registra dados de roteamento e endereçamento, instalado sem ordem judicial, o que a seção 638.51 do California Penal Code proíbe. O legislativo da Califórnia respondeu com o Senate Bill 690, que na versão aprovada altera a seção 637.2 do Penal Code para que apenas o Attorney General possa processar um agente privado com base na seção 638.51 por condutas em um site, aplicativo online ou aplicativo para celular, e aplica esse limite retroativamente a qualquer pedido pendente em uma ação iniciada nos dois anos anteriores à data de vigência. O site California Legislative Information registra o projeto como aprovado e apresentado ao governador em 4 de setembro de 2026. A seção 631(a) fica intacta, então a teoria da interceptação sobrevive independentemente do que aconteça com a teoria do pen register.

Qual é o tamanho do valor na petição?

O valor pedido nesses casos é aritmética, não prova de danos. A seção 637.2(a) do California Penal Code fixa a indenização no maior valor entre $5.000 por violação ou o triplo dos danos reais, e a alínea (c) elimina qualquer necessidade de provar danos reais.

Pedido legal = membros da classe x $5.000 por violação

Uma classe de 10.000 visitantes da Califórnia gera um pedido de $50.000.000 antes que alguém prove um dólar de prejuízo. O valor federal é menor: 18 U.S.C. seção 2520(c)(2)(B) fixa o maior valor entre $100 por dia de violação ou $10.000. Os dois valores são a pressão que uma petição exerce na fase inicial, e nenhuma das decisões acima concedeu qualquer um deles.

O que reduz a exposição a um desses pedidos?

Três coisas reduzem a exposição, e nenhuma delas garante o resultado. Consentimento coletado antes do primeiro evento gravado resolve o problema de sequência que Javier identificou. Mascaramento que roda no navegador, para que valores sensíveis nunca cheguem a um servidor, responde aos fatos que deram legitimidade a dois autores do BPS e deixaram seis sem ela, e é por isso que o mascaramento de privacidade do session replay pertence à configuração do gravador e não ao player. Um papel do fornecedor documentado no contrato e compatível com o fluxo real de dados responde à questão da parte direta da qual Popa dependeu. Residentes da Califórnia têm, além disso, direitos de acesso e de exclusão, e cumprir os direitos de privacidade do consumidor sob a CCPA é uma obrigação distinta da questão do grampo.

Onde a Flowsery se encaixa nisso?

A Flowsery grava cada sessão de usuário, não usa cookies, é hospedada na UE e foi construída com GDPR by design. Nenhum desses fatos responde a uma questão da CIPA, da WESCA ou do Wiretap Act, porque essas leis giram em torno de interceptação e consentimento, não de cookies ou do local de hospedagem. Veja como o session replay com IA captura e armazena sessões e depois leve a questão legal ao seu próprio advogado.

Perguntas frequentes

Esses processos estabelecem que o session replay é ilegal?

Não. Os autores alegam que gravar sem consentimento é uma interceptação ilegal sob uma lei específica, e os tribunais decidiram legitimidade, condição de parte e momento do consentimento caso a caso. Cook e BPS dependeram do que cada visitante digitou, não de uma decisão sobre a categoria de software.

Qual lei é a mais difícil para um réu?

A Califórnia e a Pensilvânia exigem o consentimento de todas as partes, o que elimina a defesa de uma única parte que o Wiretap Act federal permite em 18 U.S.C. seção 2511(2)(d). A CIPA acrescenta $5.000 por violação pela seção 637.2(a) do Penal Code sem exigir prova de danos. A WESCA da Pensilvânia exige que o consentimento seja dado com antecedência pela 18 Pa. Cons. Stat. seção 5704(4).

Uma política de privacidade com link no rodapé conta como consentimento?

Nenhuma das decisões acima tratou um link no rodapé como consentimento garantido. O Terceiro Circuito observou em Cook que a política estava escondida no fim do site, e o Nono Circuito se recusou em Javier a reconhecer um consentimento dado depois que a gravação já tinha ocorrido. As petições miram a sequência, então a posição e o momento do aviso são o que se discute no processo.

Os tribunais estão mesmo divididos nisso?

Sim, e as reformas mostram isso. Popa anulou a decisão de um tribunal distrital que havia considerado o fornecedor parte direta e que a interceptação só acontecia nos servidores do fornecedor. Javier reformou a decisão de um tribunal distrital que havia aceitado um consentimento retroativo. Dentro do Terceiro Circuito, Cook não reconheceu legitimidade, enquanto BPS a reconheceu para dois de oito autores.

Não usar cookies ou hospedar na UE resolve um pedido por grampo?

Não. A seção 631(a), a WESCA e o Wiretap Act federal perguntam se uma comunicação foi interceptada e quem consentiu. A presença de cookies e a localização do servidor não são elementos de nenhuma dessas leis, então nenhum dos dois fatos decide o pedido em qualquer direção.

Como a teoria do pen register difere da teoria da seção 631?

A seção 631(a) cobre a leitura do conteúdo de uma comunicação em trânsito sem o consentimento de todas as partes. A seção 638.51 cobre a instalação sem ordem judicial de um pen register ou trap and trace device, que capta dados de roteamento e endereçamento em vez de conteúdo. O SB 690, na versão aprovada, entregaria o pedido da seção 638.51 por condutas em sites apenas ao Attorney General e deixaria a seção 631(a) aberta a autores privados.

Quem pode realmente processar sob a CIPA, a WESCA ou a lei federal de grampo?

O Código Penal da Califórnia, seção 637.2, permite que qualquer pessoa prejudicada processe sob a CIPA, a WESCA da Pensilvânia permite que qualquer pessoa interceptada processe sob 18 Pa. Cons. Stat. seção 5725(a), e a lei federal de grampo dá o mesmo direito a qualquer pessoa interceptada sob 18 U.S.C. seção 2520. A SB 690 reduz esse círculo apenas para a teoria do pen register, já que entrega as ações da seção 638.51 sobre conduta em sites somente ao Attorney General. A teoria da interceptação da seção 631(a) mantém seu direito de ação privado.

A SB 690 apaga retroativamente processos de session replay já em andamento?

A SB 690, na forma promulgada, aplica retroativamente seu limite de que só o Attorney General pode agir sobre as ações de pen register da seção 638.51 a qualquer ação pendente em um processo iniciado dentro de dois anos da data de vigência. Ela deixa a seção 631(a) intacta, então uma ação de interceptação pendente sobrevive mesmo que a teoria do pen register na mesma petição não sobreviva. Segundo o site California Legislative Information, o projeto foi promulgado e apresentado ao Governor em 4 de setembro de 2026.

Por que a NaviStone era um terceiro e não parte direta da comunicação em Popa?

O Third Circuit entendeu que a NaviStone nunca se tornou parte direta das comunicações entre Ashley Popa e o site da Harriet Carter Gifts, mesmo fornecendo o código de rastreamento. A interceptação ocorreu no momento em que o JavaScript roteou os sinais de Popa para os próprios servidores da NaviStone, em vez de mantê-los entre Popa e a loja. Essa decisão anulou uma sentença de primeira instância que havia chegado à conclusão oposta tanto sobre a condição de parte quanto sobre onde ocorreu a interceptação.

Qual o tamanho que o valor de danos estatutários pode alcançar em uma ação coletiva de CIPA por session replay?

A seção 637.2(a) do Código Penal fixa a indenização no maior valor entre $5.000 por violação ou o triplo do dano real, e o parágrafo (c) elimina a necessidade de provar dano real para receber. Multiplicado ao longo de uma classe, a conta cresce rápido: 10.000 visitantes da Califórnia geram um pedido de $50.000.000 antes de qualquer dólar de dano ser provado. A lei federal de grampo limita a mesma conta bem mais baixo, no maior valor entre $100 por dia de violação ou $10.000, conforme 18 U.S.C. seção 2520(c)(2)(B).